【Linux学习笔记】Linux Centos7.4下的Ftp服务的搭建和使用及加密
Linux Centos7.4下的Ftp服务的搭建和使用
- 服务简介
- 一、Ftp服务的安装
- 1.1、安装ftp服务
- 1.2、启动ftp服务
- 1.3、将ftp服务设置为开机启动
- 1.4、停止ftp服务
- 二、Ftp服务概要说明
- 2.1、Ftp的用户分类
- 2.1.1、匿名用户
- 2.1.2、本地用户
- 2.1.2.1、创建本地用户
- 2.1.2.2、为该用户设置密码
- 2.1.2.3、修改文件夹ftpfile的权限
- 2.1.2.4、本地用户的基本配置项说明
- 2.1.3、虚拟用户
- 2.1.3.1、创建虚拟用户数据库文件
- 2.1.3.2、创建虚拟用户的映射用户，并制定其用户家目录
- 2.1.3.3、创建虚拟用户的PAM认证文件，添加虚拟用户支持。
- 2.1.3.4、为虚拟用户建立独立的配置文件，启动服务并测试
- 2.2、openssl+vsftpd加密方式
- 2.2.1、ssh使用公钥和私钥对进行数据传输加密的概要
- 2.2.2、ssh使用公钥和私钥对进行数据传输加密的概要
- 2.2.3、实践
- 三、配置文件
- 四、问题汇总
- 4.1、登录慢，具体表现在ftpClient.connect(props.getHost(), props.getPort());需要很长时间
- 4.2、本地用户登录500 OOPS: vsftpd: refusing to run with writable root inside chroot()
- 4.3、本地用户登录530 Login incorrect.
服务简介
这里需要注意的是所谓的安全，在数据传输的时候还是明文的。
主动模式（默认）
被动模式
一、Ftp服务的安装
1.1、安装ftp服务
# 安装ftp服务
yum install vsftpd
# 安装ftp客户端
yum install ftp
1.2、启动ftp服务
# 启动ftp服务
systemctl start vsftpd.service
# 查看ftp服务的状态
systemctl status vsftpd.service
如下图可见，我们的ftp服务是安装和启动成功了。
1.3、将ftp服务设置为开机启动
# 设置开机启动
systemctl enable vsftpd.service
1.4、停止ftp服务
# 停止
systemctl stop vsftpd.service
# 重启服务
systemctl reatart vsftpd.service
二、Ftp服务概要说明
2.1、Ftp的用户分类
2.1.1、匿名用户
1、匿名用户是vsftp应用安装启动后直接用来访问的。作为匿名用户，他的用户名为：ftp；没有密码。在登录的时候，在提示输入密码的时候直接回车过就行。不需要输入空格。
2、匿名用户的默认权限是只有下载不能上传的。且上传权限由两部分组成（配置文件[vsftpd.conf]和文件系统）
同时，查看/etc/vsftpd下的vsftpd.conf文件可以看到配置文件中未开启匿名用户上传文件的权限
匿名用户上传得文件，匿名用户是无法下载的。只有配置了下面的anon_umask=022之后才可以。
当前文件的权限（755）=最大权限（777）-掩码（022）
2.1.2、本地用户
这里需要注意的是。ftp的用户用的是linux的用户系统，所以默认创建的本地用户的ftp的文件夹即是，创建的linux用户的家目录。（这里如果理解不了的，需要了解一下linux的用户和用户家目录的相关知识）。
2.1.2.1、创建本地用户
# 添加用户ftpuser
# /ftpfile 指创建的ftp文件夹
# -s /sbin/nologin 指当前的用户不能登录操作
useradd ftpuser -d /ftpfile -s /sbin/nologin
这里通过上面的命令行会自行创建文件夹，也可以通过下面的命令行创建文件夹。
# 创建ftpfile文件夹
mkdir ftpfile
PS： 这里需要注意的是我这里在添加本地的ftp使用的用户的时候给这个用户指定了家目录为ftpfile
2.1.2.2、为该用户设置密码
passwd ftpuser
2.1.2.3、修改文件夹ftpfile的权限
# -R 指遍历文件夹，修改该文件夹下的所有内容的权限到ftpuser的用户和用户组
chown -R ftpuser.ftpuser ftpfile/
注意：经过上面的设置，使用ftpuser用户登录到ftp服务器可以发现，我们当前的用户的默认的ftp文件夹就是之前创建的ftpfile文件夹。
2.1.2.4、本地用户的基本配置项说明
2.1.3、虚拟用户
2.1.3.1、创建虚拟用户数据库文件
原理如下图所示
下面首先创建了一个ftp的用户文件，然后把用户文件加密成一个用户db文件。
| 指令 | 含义 |
|---|---|
| db_load： | 加密的工具 |
| -T： | 将vsftpd.user加密成vsftpd.db |
| -t： | 使用什么方式加密 |
| hash： | 使用hash码的方式加密 |
| -f： | 后跟要转化的原文件 |
注意：需要将这个用户数据库文件的权限修改为600，不然会报错。是vsftp的要求。
2.1.3.2、创建虚拟用户的映射用户，并制定其用户家目录
这里，可以不指定用户的根目录，那么用户的根目录就是当前用户的家目录。如图指定了当前用户virtual的根目录为/var/ftproot
注意：这里是创建了一个virtual用户，将该用户下的文件夹提供给上面创建的用户用。并非是直接使用virtual用户登录。
2.1.3.3、创建虚拟用户的PAM认证文件，添加虚拟用户支持。
# 虚拟用户开启
guest_enable=YES
# 虚拟用户对应的系统用户是谁
guest_username=virtual
# 虚拟用户的配置文件在哪里（dir可以修改成自己喜欢的，但是需要注意这个文件夹需要自己提前创建的）
user_config_dir=/etc/vsftpd/dir
2.1.3.4、为虚拟用户建立独立的配置文件，启动服务并测试
注意：虚拟用户默认使用的配置参数用的就是匿名用户的配置，所以需要先把vsftpd.conf主配置文件中的自己添加的一些匿名用户的相关设置注释掉。主配置文件的优先级大于子配置文件的优先级
添加匿名用户a1的配置
设置ftproot文件夹的用户权限
2.2、openssl+vsftpd加密方式
2.2.1、ssh使用公钥和私钥对进行数据传输加密的概要
2.2.2、ssh使用公钥和私钥对进行数据传输加密的概要
2.2.3、实践
校验是否支持openssl
生成密钥 ==> 生成证书 ==> 生成签名后的证书
# 生成密钥
openssl genrsa -out vsftpd.key 2048
# 生成证书
openssl req -new -key vsftpd.key -out vsftpd.csr
# 生成签名后的证书
openssl x509 -req -days 365 -sha256 -in vsftpd.csr -signkey vsftpd.key -out vsftpd.crt
# 修改当前目录
chmod 500 /etc/ssl/certs/
ssl_enable=YES
#启用ssl认证
ssl_tlsv1=YES
ssl_sslv2=YES
ssl_sslv3=YES
#开启tlsv1,sslv2,sslv3都支持
allow_anon_ssl=YES
#允许匿名用户{虚拟用户}
force_anon_logins_ssl=YES
force_anon_data_ssl=YES
#匿名登录和传输时强制使用ssl
rsa_cert_file=/etc/ssl/certs/vsftpd.crt
#rsa格式的证书
rsa_private_key_file=/etc/ssl/certs/vsftpd.key
#rsa格式的密钥
三、配置文件
# Example config file /etc/vsftpd/vsftpd.conf
#
# The default compiled in settings are fairly paranoid. This sample file
# loosens things up a bit, to make the ftp daemon more usable.
# Please see vsftpd.conf.5 for all compiled in defaults.
#
# READ THIS: This example file is NOT an exhaustive list of vsftpd options.
# Please read the vsftpd.conf.5 manual page to get a full idea of vsftpd's
# capabilities.
#
# Allow anonymous FTP? (Beware - allowed by default if you comment this out).
anonymous_enable=NO
#
# Uncomment this to allow local users to log in.
# When SELinux is enforcing check for SE bool ftp_home_dir
local_enable=YES
#
# Uncomment this to enable any form of FTP write command.
write_enable=YES
#
# Default umask for local users is 077. You may wish to change this to 022,
# if your users expect that (022 is used by most other ftpd's)
local_umask=022
#
# Uncomment this to allow the anonymous FTP user to upload files. This only
# has an effect if the above global write enable is activated. Also, you will
# obviously need to create a directory writable by the FTP user.
# When SELinux is enforcing check for SE bool allow_ftpd_anon_write, allow_ftpd_full_access
#anon_upload_enable=YES
#
# Uncomment this if you want the anonymous FTP user to be able to create
# new directories.
#anon_mkdir_write_enable=YES
#
# Activate directory messages - messages given to remote users when they
# go into a certain directory.
dirmessage_enable=YES
#
# Activate logging of uploads/downloads.
xferlog_enable=YES
#
# Make sure PORT transfer connections originate from port 20 (ftp-data).
connect_from_port_20=YES
#
# If you want, you can arrange for uploaded anonymous files to be owned by
# a different user. Note! Using "root" for uploaded files is not
# recommended!
#chown_uploads=YES
#chown_username=whoever
#
# You may override where the log file goes if you like. The default is shown
# below.
#xferlog_file=/var/log/xferlog
#
# If you want, you can have your log file in standard ftpd xferlog format.
# Note that the default log file location is /var/log/xferlog in this case.
xferlog_std_format=YES
#
# You may change the default value for timing out an idle session.
#idle_session_timeout=600
#
# You may change the default value for timing out a data connection.
#data_connection_timeout=120
#
# It is recommended that you define on your system a unique user which the
# ftp server can use as a totally isolated and unprivileged user.
#nopriv_user=ftpsecure
#
# Enable this and the server will recognise asynchronous ABOR requests. Not
# recommended for security (the code is non-trivial). Not enabling it,
# however, may confuse older FTP clients.
#async_abor_enable=YES
#
# By default the server will pretend to allow ASCII mode but in fact ignore
# the request. Turn on the below options to have the server actually do ASCII
# mangling on files when in ASCII mode. The vsftpd.conf(5) man page explains
# the behaviour when these options are disabled.
# Beware that on some FTP servers, ASCII support allows a denial of service
# attack (DoS) via the command "SIZE /big/file" in ASCII mode. vsftpd
# predicted this attack and has always been safe, reporting the size of the
# raw file.
# ASCII mangling is a horrible feature of the protocol.
#ascii_upload_enable=YES
#ascii_download_enable=YES
#
# You may fully customise the login banner string:
#ftpd_banner=Welcome to blah FTP service.
#
# You may specify a file of disallowed anonymous e-mail addresses. Apparently
# useful for combatting certain DoS attacks.
#deny_email_enable=YES
# (default follows)
#banned_email_file=/etc/vsftpd/banned_emails
#
# You may specify an explicit list of local users to chroot() to their home
# directory. If chroot_local_user is YES, then this list becomes a list of
# users to NOT chroot().
# (Warning! chroot'ing can be very dangerous. If using chroot, make sure that
# the user does not have write access to the top level directory within the
# chroot)
chroot_local_user=YES
chroot_list_enable=YES
# (default follows)
chroot_list_file=/etc/vsftpd/chroot_list
#
# You may activate the "-R" option to the builtin ls. This is disabled by
# default to avoid remote users being able to cause excessive I/O on large
# sites. However, some broken FTP clients such as "ncftp" and "mirror" assume
# the presence of the "-R" option, so there is a strong case for enabling it.
#ls_recurse_enable=YES
#
# When "listen" directive is enabled, vsftpd runs in standalone mode and
# listens on IPv4 sockets. This directive cannot be used in conjunction
# with the listen_ipv6 directive.
listen=yes
#
# This directive enables listening on IPv6 sockets. By default, listening
# on the IPv6 "any" address (::) will accept connections from both IPv6
# and IPv4 clients. It is not necessary to listen on *both* IPv4 and IPv6
# sockets. If you want that (perhaps because you want to listen on specific
# addresses) then you must run two copies of vsftpd with two configuration
# files.
# Make sure, that one of the listen options is commented !!
listen_ipv6=no
local_root=/home/ftpfile
reverse_lookup_enable=NO
pam_service_name=vsftpd
userlist_enable=YES
tcp_wrappers=YES
listen_port=8021
#pasv_min_port=30000
#pasv_max_port=31000
#pasv_address=192.168.32.1
#pasv_enable=NO
四、问题汇总
4.1、登录慢，具体表现在ftpClient.connect(props.getHost(), props.getPort());需要很长时间
在vsftpd.conf配置文件中增加下面的配置。
4.2、本地用户登录500 OOPS: vsftpd: refusing to run with writable root inside chroot()
注意点： 本地用户在登录的时候，出现了500 OOPS错误。
这是因为从2.3.5之后，vsftpd增强了安全检查，如果用户被限定在了其主目录下，则该用户的主目录不能再具有写权限了！如果检查发现还有写权限，就会报该错误。在vsftp.conf文件中添加下面的配置之后，就可以解决这个问题。
allow_writeable_chroot=YES
4.3、本地用户登录530 Login incorrect.
检查下面的文件，注释调中间的这一段之后，重启服务。
vim /etc/pam.d/vsftpd
